Отсутствующая уязвимость аутентификации в dulldusk/phpfm до 1.8.0 позволяет неаутентифицированному удаленному злоумышленнику получить доступ ко всем функциям файлового менеджера, включая чтение, запись, удаление и загрузку файлов в любом месте файловой системы сервера. Проверка аутентификации в index.php в строке 637 оценивает «if ($auth_pass == '' || $loggedon==$auth_pass)', и поскольку auth_pass — это пустая строка в конфигурации по умолчанию, условие всегда оценивается как true и предоставляет полный доступ без учетных данных.
Показать оригинальное описание (EN)
A missing authentication vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to access the full file manager functionality including reading, writing, deleting, and uploading files anywhere on the server filesystem.
Характеристики атаки
Последствия
Строка CVSS v3.1